Instagram 2FA sms'jes privacyschending?
Ik ben vandaag tot mijn grote verbazing achter iets zeer eigenaardigs gekomen, dit met betrekking tot het 2FA Sms’jes op Instagram. Zoals iedereen weet is het gebruikelijk om een token te krijgen via sms wat normaal gesproken altijd via een officieel nummer van Instagram of Facebook komt. Alleen vandaag was dit dus niet het geval ik heb namelijk meerdere sms’jes ontvangen met daarin een token van random 06 nummers. Deze sms’jes met de tokens daarin zijn dus valide en kan hier gewoon mee inloggen op Instagram. Uit mijn nieuwsgierigheid heb ik expres meerdere sms’jes laten verzenden, bij elke keer dat ik een nieuwe sms kreeg bleek het weer te gaan om een nieuw 06 nummer. Vervolgens heb ik deze nummers dus opgeslagen en via WhatsApp gecheckt of dit ook echte personen zijn. Dit bleek dus zo te zijn, daarna heb ik enkele nummers anoniem gebeld om te checken of het ook echt actieve nummers zijn, meerdere personen namen gewoon op. Ik heb verder met geen persoon gesproken, nu is mij de vraag waarom doet Instagram/Facebook dit en zijn deze personen hiervan bewust dat hun nummer gebruikt wordt voor 2FA sms’jes. Verder heb ik hier nog een screenshot van de desbetreffende sms’jes die ik heb ontvangen van de nummers. Daarnaast lijkt mij dit een schending van privacy voor de persoon waar dit nummer van is? Dus als iemand hier mij meer over zou kunnen vertellen bedankt!
Screenshot: <moderator>verwijderd</moderator>
Alleen hoort een SMS code van Instagram maar vanaf één nummer te komen. Ik heb het even gecheckt: bij mij is dit van de afzender met Caller ID 'Instagram' (en dus geen 06 nummers).
Betreft de sms alleen een nummer (geen link)?
Nee er staat letterlijk alleen een token in die ingetypt dient te worden via de website van Instagram bij het inloggen.
Heb je al gekeken wat het effect is als je jouw telefoon reboot?
Het is inderdaad opmerkelijk en wat Erik schrijft kan het ook iets op je eigen telefoon zijn wat (toevallig) een verkeerd nummer laat zien. Of er gaat iets mis bij de provider waardoor het verkeerde nummer is meegestuurd. Of het gaat bij Facebook/Instagram mis bij het instellen van 'Instagram' als naam waardoor je nummers te zien krijgt van andere gebruikers die ook een code horen te ontvangen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
